+Clock Synchronization Standardization

Clock Synchronization Standardization

Ensure clock synchronization of all ICT systems to a single reliable reference source time.

1. Panoramica

1.1 Riferimenti

1.2 Requisiti identificati

1.3 Regolamentazioni correlate

2. Requisiti identificati

Requisiti

3. Regolamentazioni correlate

Regolamentazioni
EULAW Articolo 8 1.
Nell’ambito delle politiche, delle procedure, dei protocolli e degli strumenti per la sicurezza delle TIC di cui all’articolo 9, paragrafo 2, del regolamento (UE) 2022/2554, le entità finanziarie elaborano, documentano e attuano politiche e procedure per gestire le operazioni riguardanti le TIC. Tali politiche e procedure specificano in che modo le entità finanziarie gestiscono, monitorano, controllano e ripristinano le proprie risorse TIC, compresa la documentazione delle operazioni riguardanti le TIC.
EULAW Articolo 8 2.

Le politiche e le procedure per le operazioni riguardanti le TIC di cui al paragrafo 1 contengono tutti gli elementi seguenti:

a) 

una descrizione delle risorse TIC che includa tutti gli elementi seguenti:

i) 

requisiti relativi alla sicurezza dell’installazione, della manutenzione, della configurazione e della disinstallazione di un sistema di TIC;

ii) 

requisiti relativi alla gestione del patrimonio informativo utilizzato dalle risorse TIC, inclusi il trattamento e l’elaborazione, sia automatizzati che manuali;

iii) 

requisiti relativi all’identificazione e al controllo dei sistemi di TIC legacy;

b) 

i controlli e il monitoraggio dei sistemi di TIC, comprendenti tutti gli elementi seguenti:

i) 

requisiti di backup e ripristino dei sistemi di TIC;

ii) 

requisiti di scheduling, tenendo conto delle interdipendenze tra i sistemi di TIC;

iii) 

protocolli per le informazioni di audit trail e log di sistema;

iv) 

requisiti per garantire che l’esecuzione dell’audit interno e di altri test riduca al minimo le perturbazioni delle operazioni commerciali;

v) 

requisiti sulla separazione degli ambienti di produzione delle TIC dagli ambienti di sviluppo, test e da altri ambienti non di produzione;

vi) 

requisiti per condurre lo sviluppo e i test in ambienti separati dall’ambiente di produzione;

vii) 

requisiti per condurre lo sviluppo e i test in ambienti di produzione;

c) 

gestione degli errori relativi ai sistemi di TIC, che comprenda tutti gli elementi seguenti:

i) 

procedure e protocolli per la gestione degli errori;

ii) 

contatti dell’assistenza e dei livelli successivi di intervento, compresi i contatti dell’assistenza esterna in caso di problemi operativi o tecnici imprevisti;

iii) 

procedure di riavvio, riesecuzione e ripristino dei sistemi di TIC da utilizzare in caso di perturbazione dei sistemi di TIC.

Ai fini della lettera b), punto v), la separazione considera tutte le componenti dell’ambiente, compresi gli account, i dati o le connessioni, come previsto dall’articolo 13, primo comma, lettera a).

Ai fini della lettera b), punto vii), le politiche e le procedure di cui al paragrafo 1 prevedono che i casi in cui i test sono eseguiti in un ambiente di produzione siano chiaramente identificati, motivati, abbiano una durata limitata e siano approvati dalla funzione competente conformemente all’articolo 16, paragrafo 6. Le entità finanziarie garantiscono la disponibilità, la riservatezza, l’integrità e l’autenticità dei sistemi di TIC e dei dati di produzione durante le attività di sviluppo e di test nell’ambiente di produzione.
EULAW Articolo 9 1.

Nell’ambito delle politiche, delle procedure, dei protocolli e degli strumenti per la sicurezza delle TIC di cui all’articolo 9, paragrafo 2, del regolamento (UE) 2022/2554, le entità finanziarie elaborano, documentano e attuano procedure di gestione della capacità e delle prestazioni per:

a) 

l’identificazione dei requisiti di capacità dei loro sistemi di TIC;

b) 

l’applicazione dell’ottimizzazione delle risorse;

c) 

le procedure di monitoraggio per mantenere e migliorare:

i) 

la disponibilità dei dati e dei sistemi di TIC;

ii) 

l’efficienza dei sistemi di TIC;

iii) 

la prevenzione della carenza di capacità TIC.
EULAW Articolo 9 2.
Le procedure di gestione della capacità e delle prestazioni di cui al paragrafo 1 garantiscono che le entità finanziarie adottino misure adeguate per tener conto delle specificità dei sistemi di TIC con processi di appalto o di approvazione lunghi o complessi o dei sistemi di TIC ad alta intensità di risorse.
EULAW Articolo 12 2.

Le procedure, i protocolli e gli strumenti di logging di cui al paragrafo 1 contengono tutti gli elementi seguenti:

a) 

l’identificazione degli eventi da registrare nei log, il periodo di conservazione dei log e le misure per proteggere e gestire i dati di log, tenendo conto dello scopo per cui i log sono creati;

b) 

l’allineamento del livello di dettaglio dei log con il loro scopo e utilizzo per consentire l’efficace individuazione di attività anomale di cui all’articolo 24;

c) 

l’obbligo di registrare nei log gli eventi relativi a tutti gli aspetti seguenti:

i) 

controllo degli accessi logici e fisici di cui all’articolo 21 e gestione delle identità;

ii) 

gestione della capacità;

iii) 

gestione delle modifiche;

iv) 

operazioni riguardanti le TIC, comprese le attività dei sistemi di TIC;

v) 

attività di traffico di rete, comprese le prestazioni della rete delle TIC;

d) 

misure per proteggere i sistemi di logging e le informazioni di log a riposo, in transito e, se del caso, in uso da manomissioni, cancellazioni e accessi non autorizzati;

e) 

misure per individuare eventuali guasti ai sistemi di logging;

f) 

fatti salvi i requisiti normativi applicabili ai sensi del diritto dell’Unione o nazionale, la sincronizzazione degli orologi di ciascuno dei sistemi di TIC dell’entità finanziaria su una fonte temporale di riferimento documentata e affidabile.

Ai fini della lettera a), le entità finanziarie stabiliscono il periodo di conservazione, tenendo conto degli obiettivi aziendali e di sicurezza delle informazioni, del motivo della registrazione dell’evento nei log e dei risultati della valutazione dei rischi informatici.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.